FortiGate VPN MFA: kohalik token, RADIUS või SAML?

Iga FortiGate VPN MFA lahendus vastab kõigepealt ühele küsimusele: kes kontrollib teist faktorit? Lüüs ise saab seda teha kohaliku tokeni või e-postiga saadetud koodiga, RADIUS-taustsüsteem saab selle kehtestada ja väljakutse tagasi saata, või SAML-identiteedipakkuja saab kogu tseremoonia brauseris enda kanda võtta. Igaüks neist annab erineva sisselogimisjärjestuse, erineva tõrkeallkirja ja erineva taastamisprotseduuri, ning käsubloki nende vahel kopeerimine annab konfiguratsiooni, mis tundub usutav ja ei autendi kedagi. See on mehhanismiartikkel: mida iga lahendus sisselogimise ajal tegelikult teeb ja kus see katki läheb.

Sisselogimistseremoonia otsustab, kellele faktor kuulub

Kahes esimeses lahenduses on FortiGate usaldav pool. See kogub mandaadi, otsustab, kas teine faktor on vajalik, ja kontrollib seda kohapeal või väljakutse kaudu. Kolmandas lahenduses lakkab lüüs olemast kontrollija ja muutub vahendajaks: see suunab kliendi identiteedipakkuja juurde, võtab vastu väite ja vastendab kinnitatud identiteedi kasutaja ning rühmaga. RADIUS-lahenduses on see nende vahel ning ajab taustsüsteemiga, mis hoiab poliitikat, päringu-vastuse vahetust.

See erinevus otsustab, milliseid tõendeid saate koguda. Kui lüüs kontrollib, ütleb selle enda silumisväljund teile, mis juhtus. Kui kontrollib identiteedipakkuja, teab lüüs ainult seda, et väide saabus, ja vastus küsimusele „kas MFA oli tõesti vajalik“ elab pakkuja logides, mitte tulemüüri logides. Vale logi lugemine on kõige tavalisem viis valesti diagnoosida kasutuselevõttu, mis käitub täpselt nii, nagu projekteeritud. Ka teenus ise piirab tseremooniat: FortiOS 7.6.3 eemaldab SSL VPN tunnelirežiimi IPsec kasuks, samal ajal kui veebirežiim jätkub Agentless VPN-ina toetatud mudelitel, seega ühes teenuses tõestatud tseremoonia ei ole automaatselt teises saadaval.

Kohalik kontroll: tokenid ja e-postikoodid

FortiGate hallatavad faktorid kinnituvad kasutajaobjekti külge. FortiToken või dokumenteeritud tokeniintegratsioon vajab registreerimist, toetatud kontrollitseremooniat, litsentsimist kus see kehtib, ja asendamisprotseduuri. E-postiga saadetud kood vajab toimivat SMTP-teed ja postkasti, kuhu kasutaja pääseb enne, kui tunnel olemas on, mis on sõltuvus, millel pole krüptograafiaga midagi pistmist ja mis on täielikult seotud sellega, kas keegi saab sisse logida.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

E-posti kohaletoimetamine on autentimise kättesaadavuse osa. Ainult VPN-i kaudu kättesaadav postkast loob ahela, mis ei lahene kellegi jaoks iseenesest, ning kohaletoimetamise viivitus, koodi kehtivus ja kaugautentimise ajalõpp on kolm eraldi piirangut. Ühe tõstmine ei paranda kättesaamatut postkasti ja lahendus, mis pole ahelat kunagi testinud, avastab selle esimesel parooli lähtestamisel pärast pühi.

Ka tagatisenõuded kuuluvad siia, enne tootevalikut. NIST SP 800-63B peab e-posti välisvõrgu autentimiseks vastuvõetamatuks, seega vastavust väitev juurutus ei saa kasutada e-postikoodi teise faktorina, ükskõik kui mugav see on. Funktsiooni olemasolu seadmes ei ole väide, et funktsioon vastab antud standardile.

RADIUS: lüüs küsib, taustsüsteem otsustab

RADIUS-e korral saadab FortiGate mandaadi taustsüsteemi, mis omab faktoripoliitikat. Vahetus võib olla lihtne vastuvõtmine või tagasilükkamine, või see võib hõlmata väljakutset, millele klient peab vastama, mis tähendab, et nii VPN-teenus kui ka klient peavad seda väljakutse kuju toetama. Taustsüsteem, mis kehtestab push-kinnituse, ja klient, mis oskab ainult paroolile kuuekohalist koodi lisada, ei kohtu poolel teel.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Testige taustsüsteemi eraldi, enne kui tunnelit süüdistate. Kui authserveri test õnnestub ja VPN-i sisselogimine mitte, on erinevus väljakutse käsitlemises, mitte mandaadis, ja lüüsi autentimisdemonni silumine on koht, kus see ilmneb:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: brauser lahkub lüüsist

SAML-lahenduses suunatakse klient identiteedipakkuja juurde, autenditakse seal ja naaseb väitega, mida lüüs valideerib usaldussuhte ja rühmade vastendamise vastu. Lüüs ei näe kunagi parooli ega teist faktorit, mis on korraga nii turvalisuse parandus kui ka operatiivne tüsistus: tõrge toimub nüüd brauseriseansis, mida tulemüür ei saa kontrollida.

Väite vastuvõtmine ei tõesta, et pakkuja nõudis selle sisselogimise jaoks MFA-d. Pakkuja poliitika, mis rakendab MFA-d mõnele rakendusele ja mitte teistele, annab täpselt selle sisselogimise, mida küsisite, ja mitte midagi sellest tagatisest, mida eeldasite. Kontrollige pakkuja poliitikat selle konkreetse rakenduse jaoks ja kontrollige, et rühmaväidete vastendamine FortiGate'i rühmadele klapib endiselt pärast mis tahes ümbernimetamist kummalgi pool.

Klienditugi on siin tähtsam kui kusagil mujal. Mõned VPN-kliendid käsitlevad brauserile üleandmist natiivselt, mõned avavad süsteemibrauseri ja peakta või käsureakliendid ei pruugi voogu üldse lõpetada. Testige kliendiga, mida kasutajad tegelikult käitavad, platvormidel, mida nad tegelikult kasutavad, enne kui profiili avaldate.

Taastamine on mehhanismi osa

Igal ülaltoodud lahendusel on sõltuvus, mis võib ühe kasutaja jaoks korraga ebaõnnestuda: kättesaamatu postkast, kadunud token, väljakutse tagasi lükkav taustsüsteem, lukustatud identiteedipakkuja konto. Otsustage kohe, kes saab juurdepääsu taastada, millise toetatud protseduuri kaudu ja millise küsija kontrolliga. VPN-teest eraldi hoitav hädaolukorra kohalik administraatorikonto on kontroll; ja seletamata ainult paroolil põhinev möödaviik on intsident, mis ootab avastamist.

Seejärel testige enne kasutuselevõttu kolme sisselogimist: tavaline, tagasilükatud või aegunud faktor ja kinnitatud kadunud autentija taastamine. Kirjutage üles, millises logis igaüks ilmub. Just see register muudab „MFA on lubatud“ lahenduseks, mida keegi teine saab käitada.